0 
0 Para cada nova tecnologia que os profissionais de segurança cibernética inventam, é apenas uma questão de tempo até que agentes mal-intencionados encontrem uma maneira de contornar isso. Precisamos de novas abordagens de liderança à medida que avançamos para a próxima fase de proteção de nossas organizações. Para os Conselhos de Administração (BODs), isso requer o desenvolvimento de novas maneiras de realizar sua responsabilidade fiduciária para com os acionistas e a responsabilidade de supervisão para gerenciar o risco do negócio. Os diretores não podem mais abdicar da supervisão da segurança cibernética ou simplesmente delegá-la aos gerentes operacionais. Eles devem ser líderes experientes que priorizem a segurança cibernética e demonstrem pessoalmente seu compromisso. Muitos diretores sabem disso, mas ainda buscam respostas sobre como proceder.
Conduzimos uma pesquisa para entender melhor como os conselhos lidam com a segurança cibernética. Perguntamos aos diretores com que frequência a segurança cibernética era discutida pelo conselho e descobrimos que apenas 68% dos entrevistados disseram regularmente ou constantemente. Infelizmente, 9% disseram que não foi algo que o conselho deles discutiu.
Quando se trata de entender o papel do conselho, havia várias opções. Enquanto 50% dos entrevistados disseram que houve discussão sobre o papel do conselho, não houve consenso sobre qual deveria ser essa função. Fornecer orientação aos gerentes operacionais ou líderes de nível C foi visto como o papel do conselho por 41% dos entrevistados, a participação em um exercício de mesa (TTX) foi mencionada por 14% dos entrevistados e a conscientização geral ou “prontidão para responder caso o conselho seja necessário” foi mencionada por 23% dos diretores. Mas 23% dos entrevistados também disseram que não havia plano ou estratégia do conselho em vigor.
Com base em nossas descobertas, desenvolvemos as seguintes recomendações sobre o que os conselhos de administração precisam saber, medidas práticas que os diretores podem tomar e perguntas inteligentes que você deve fazer em sua próxima reunião.
Cinco coisas que os diretores precisam saber sobre segurança cibernética.
1. A segurança cibernética é mais do que proteger os dados.
Nos “velhos tempos”, proteger as organizações contra incidentes cibernéticos era visto principalmente como proteção de dados. Executivos da empresa preocupados com o vazamento de informações pessoais, o roubo de listas de clientes e o uso fraudulento de cartões de crédito. Esses ainda são problemas, mas a segurança cibernética é mais do que apenas proteger os dados. À medida que digitalizamos nossos processos e nossas operações, conectamos nossos complexos industriais a sistemas de controle que permitem o gerenciamento remoto de grandes equipamentos e vinculamos nossas cadeias de suprimentos a processos automáticos de pedidos e atendimento, a segurança cibernética assumiu uma posição muito maior em nosso cenário de ameaças. Uma supervisão deficiente pode significar mais do que pagar multas porque os dados não foram protegidos adequadamente. Os diretores precisam ter uma imagem real das ameaças ciberfísicas e digitais que suas organizações enfrentam.
2. Os BODs devem ser participantes experientes na supervisão da segurança cibernética.
É papel do BOD garantir que a organização tenha um plano e esteja tão preparada quanto possível. Não é responsabilidade do conselho escrever o plano. Existem muitas estruturas disponíveis para ajudar uma organização com sua estratégia de segurança cibernética. Gostamos do NIST Cybersecurity Framework, que é uma estrutura desenvolvida pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST). É simples e oferece aos executivos e diretores uma boa estrutura para pensar nos aspectos importantes da segurança cibernética. Mas também tem muitos níveis de detalhes que os profissionais cibernéticos podem usar para instalar controles, processos e procedimentos. A implementação eficaz do NIST pode preparar uma organização para um ataque cibernético e mitigar os efeitos negativos quando ocorre um ataque.
A estrutura NIST tem 5 áreas: identificar, proteger, detectar, responder e recuperar. As organizações que estão bem preparadas para um incidente cibernético documentaram planos para cada uma dessas áreas da estrutura do NIST, compartilharam esses planos com os líderes e praticaram as ações a serem tomadas para construir memória muscular para uso em uma situação de violação.
3. Os conselhos devem se concentrar no risco, na reputação e na continuidade dos negócios.
Quando os profissionais cibernéticos desenvolvem políticas e práticas, a tríade fundamental de metas é garantir a confidencialidade, integridade e disponibilidade de sistemas e dados (a “CIA” da segurança cibernética). Isso é necessário, mas a discussão seria muito diferente de uma sobre os objetivos de risco, reputação e continuidade de negócios, que são as principais preocupações do BOD.
Enquanto o conselho tende a criar estratégias sobre maneiras de gerenciar os riscos dos negócios, os profissionais de segurança cibernética concentram seus esforços nos níveis técnico, organizacional e operacional. As linguagens usadas para gerenciar os negócios e gerenciar a segurança cibernética são diferentes, e isso pode obscurecer tanto a compreensão do risco real quanto a melhor abordagem para lidar com o risco. Talvez porque a segurança cibernética seja um campo técnico bastante complexo, o conselho pode não estar totalmente ciente dos riscos cibernéticos e das medidas de proteção necessárias que precisam ser tomadas. Mas existem abordagens acionáveis para resolver isso.
Os diretores não precisam se tornar especialistas cibernéticos (embora ter um no conselho seja uma boa ideia). Ao focar em objetivos comuns: manter a organização segura e a continuidade operacional, a lacuna entre o papel do BOD e o papel dos profissionais de segurança cibernética pode ser reduzida. Estabelecer uma comunicação clara e consistente para compartilhar métricas úteis e objetivas para informações, controles de sistemas e comportamentos humanos é o primeiro passo. Comparações com as melhores práticas e metodologias existentes para gerenciamento de riscos de segurança cibernética é outra atividade para identificar áreas de necessidade e áreas de força na organização. Diretores que fazem perguntas inteligentes a seus executivos de segurança cibernética é mais uma terceira ação para fechar a lacuna.
4. A abordagem predominante da segurança cibernética é a defesa em profundidade.
Uma série de medidas de proteção em camadas pode proteger informações valiosas e dados confidenciais porque uma falha em um dos mecanismos defensivos pode ser apoiada por outro, potencialmente impedindo o ataque e abordando diferentes vetores de ataque. Essa abordagem em várias camadas é comumente chamada de “abordagem de castelo” porque reflete as defesas em camadas de um castelo medieval para evitar ataques externos.
As camadas de defesa geralmente incluem tecnologia, controles, políticas e mecanismos de organização. Por exemplo, firewalls (e muitas empresas têm vários firewalls), ferramentas de gerenciamento de identidade e acesso, criptografia, testes de penetração e muitos outros são defesas tecnológicas que fornecem barreiras ou detecção de violações. As tecnologias de inteligência artificial prometem fortalecer essas barreiras à medida que surgem ameaças novas e persistentes. Mas a tecnologia por si só não pode nos manter seguros o suficiente. Os Centros de Operações de Segurança (SoCs) fornecem supervisão e envolvimento humano para perceber coisas que as tecnologias perdem, como foi o caso na violação da SolarWinds, em que um associado astuto percebeu algo incomum e investigou. Mas mesmo os SoCs não conseguem manter a organização 100% segura.
Políticas e procedimentos são necessários para atender aos requisitos de controle e são configurados pela gerência. E, francamente, no mundo de hoje, precisamos que cada pessoa em nossas organizações forneça algum nível de defesa. No mínimo, todos devem estar cientes de golpes e tentativas de engenharia social para evitar ser vítima. Aliás, isso inclui diretores, que também são alvos e devem saber o suficiente para não serem pegos por e-mails ou avisos falaciosos.
5. A segurança cibernética é um problema organizacional, não apenas técnico.
Muitos problemas de segurança cibernética ocorrem devido a erros humanos. Um estudo da Universidade de Stanford revelou que 88% dos incidentes de violação de dados foram causados por erros dos funcionários. Alinhar todos os funcionários, não apenas a equipe de segurança cibernética, em torno de práticas e processos para manter a organização segura não é um problema técnico, é organizacional. A segurança cibernética requer conscientização e ação de todos os membros da organização para reconhecer anomalias, alertar líderes e, finalmente, mitigar riscos.
Nossa pesquisa no MIT sugere que isso é melhor feito criando uma cultura de segurança cibernética. Definimos uma “cultura de segurança cibernética” como um ambiente repleto de atitudes, crenças e valores que motivam comportamentos de segurança cibernética. Os funcionários não apenas seguem suas descrições de cargos, mas também agem de forma consistente para proteger os ativos da organização. Isso não significa que todo funcionário se torne um especialista em segurança cibernética; significa que cada funcionário é responsabilizado por supervisionar e se comportar como se fosse um “campeão de segurança”. Isso adiciona uma camada humana de proteção para evitar, detectar e relatar qualquer comportamento que possa ser explorado por um agente mal-intencionado.
Os líderes dão o tom para priorizar esse tipo de cultura, mas também reforçam e personificam os valores e crenças para a ação. O BOD também tem um papel nisso. Simplesmente fazendo perguntas sobre segurança cibernética, os diretores insinuam que é um tópico importante para eles, e isso envia a mensagem de que precisa ser uma prioridade para os executivos corporativos.
As perguntas que seu conselho precisa ouvir.
Aqui está uma lista de sete perguntas a serem feitas para garantir que seu conselho entenda como a segurança cibernética está sendo gerenciada por sua organização. Simplesmente fazer essas perguntas também aumentará a conscientização sobre a importância da segurança cibernética e a necessidade de priorizar a ação.
1. Quais são nossos ativos mais importantes e como os protegemos?
Sabemos que não podemos estar 100% seguros. Decisões difíceis devem ser tomadas. O BOD deve garantir que os ativos mais importantes da organização estejam seguros no nível mais alto razoável. São os dados de seus clientes, seus sistemas e processos operacionais ou o IP de sua empresa? Perguntar o que está sendo protegido e o que precisa ser protegido é um primeiro passo importante. Se não houver acordo sobre o que proteger, o resto da estratégia de segurança cibernética é discutível.
2. Quais são as camadas de proteção que implementamos?
A proteção é feita com várias camadas de defesa, procedimentos e políticas e outras abordagens de gerenciamento de riscos. Os conselhos não precisam tomar a decisão sobre como implementar cada uma dessas camadas, mas o BOD precisa saber quais camadas de proteção estão em vigor e quão bem cada camada está protegendo a organização.
3. Como sabemos se fomos violados? Como detectamos uma violação?
O BOD estaria ignorando uma parte importante de sua responsabilidade fiduciária se não garantir que a organização tenha recursos de proteção e detecção. Como muitas violações não são detectadas imediatamente após ocorrerem, o BOD deve certificar-se de que sabe como uma violação é detectada e concordar com o nível de risco resultante dessa abordagem.
4. Quais são nossos planos de resposta no caso de um incidente?
Se um resgate for solicitado, qual é a nossa política sobre pagá-lo? Embora não seja provável que o conselho faça parte do plano de resposta detalhado em si, o BOD quer ter certeza de que existe um plano. Quais executivos e líderes fazem parte do plano de resposta? Qual é o papel deles? Quais são os planos de comunicação (afinal, se os sistemas forem violados ou não confiáveis, como nos comunicaremos?). Quem alerta as autoridades? Quais autoridades são alertadas? Quem fala com a imprensa? Nossos clientes? Nossos fornecedores? Ter um plano é fundamental para responder adequadamente. É altamente improvável que o plano seja executado exatamente como planejado, mas você não quer esperar até que uma violação aconteça para começar a planejar como responder.
5. Qual é o papel do conselho no caso de um incidente?
Seria útil para o BOD saber qual será seu papel e praticá-lo. O papel do conselho é decidir pagar um resgate ou não, conversar com os maiores clientes, estar disponível para reuniões de emergência com executivos da organização para tomar decisões just-in-time? Um artigo anterior nosso discutiu o importância de praticar respostas. Usar exercícios de incêndio e exercícios de mesa para criar memória muscular parece um luxo, mas se sua empresa tiver um incidente, você quer ter certeza de que o músculo de resposta está pronto para funcionar.
6. Quais são os nossos planos de recuperação de negócios no caso de um incidente cibernético?
Muitos executivos que entrevistamos não testaram seus planos de recuperação de negócios. Pode haver diferenças significativas na recuperação de uma interrupção nos negócios devido a um incidente cibernético. A recuperação de dados pode ser diferente se todos os registros forem destruídos ou corrompidos por um agente mal-intencionado que criptografa arquivos ou os manipule. Os BODs querem saber quem “é o dono” da recuperação de negócios, se há um plano de como fazer isso acontecer e se foi testado com um incidente cibernético em mente?
7. Nosso investimento em segurança cibernética é suficiente?
Você não pode investir o suficiente para estar 100% seguro. Mas, como um orçamento deve ser definido, é crucial que as empresas garantam uma excelente equipe de segurança com a experiência adequada para resolver problemas técnicos e entender as vulnerabilidades dentro das principais funções críticas do negócio. Ao fazer isso, a empresa estará melhor preparada para alocar investimentos onde for mais necessário. As empresas devem avaliar seu nível de proteção e tolerância ao risco antes de se envolverem em novos investimentos. Duas maneiras de fazer isso são por meio de simulações de ataques cibernéticos e de testes de penetração/vulnerabilidade. Essas ações expõem vulnerabilidades, permitem ações para minimizar possíveis danos com base na prioridade, exposição a riscos e orçamento e, por fim, garantem o investimento adequado de tempo, dinheiro e recursos.
Os conselhos têm um papel único em ajudar suas organizações a gerenciar ameaças à segurança cibernética. Eles não têm responsabilidade de gerenciamento do dia a dia, mas eles têm supervisão e responsabilidade fiduciária. Não deixe perguntas sobre vulnerabilidades críticas para o futuro. Fazer as perguntas inteligentes em sua próxima reunião do conselho pode impedir que uma violação se torne um desastre total.
UMA reconhecimento: Esta pesquisa foi apoiada, em parte, por fundos dos membros do consórcio Cybersecurity at MIT Sloan (CAMS).
FONTE: HARVARD BUSINESS REVIEW